# MemoFlow 隐私政策 > 版本：v1.0（发布前法务与合规复核稿） > 生效日期：2026 年 8 月 1 日 > 个人信息处理者/运营主体：南京君合电子商务有限公司 > 英文名称：Nanjing Junhe E - Commerce Co., Ltd. > 联系邮箱：service@memoflow8.com ## 发布前重要提示 本政策依据 MemoFlow 当前代码和服务配置起草。正式发布前，南京君合电子商务有限公司仍须确认正式隐私权请求流程、生产数据处理区域和服务提供者，并由法律顾问结合实际上线地区复核。 当前系统的账户注销会立即停用账户、撤销登录令牌、释放第三方登录绑定并替换原邮箱，但尚未完成所有账户关联数据的自动物理清理流程。Google Play 明确要求账户删除不能仅以冻结或停用替代。正式上架前必须实现并验证关联数据删除任务、依法保留数据的隔离措施、外部注销网页和可执行的保留期限。本政策中有关删除的承诺须与最终实现保持一致。 --- ## 引言 南京君合电子商务有限公司（以下简称“**我们**”）是 MemoFlow 产品和服务的运营者及个人信息处理者。我们重视您的隐私，并按照适用的数据保护法律处理您的个人信息。 本政策说明 MemoFlow 如何收集、使用、存储、共享、转移和保护个人信息，以及您如何行使相关权利。请在注册或使用 MemoFlow 前仔细阅读。涉及麦克风、录音、身份认证、付款信息或其他敏感个人信息时，我们会在法律要求的范围内通过权限弹窗、功能说明或其他适当方式另行告知并取得授权。 本政策适用于 MemoFlow 移动应用、服务端 API 及与 MemoFlow 直接相关的功能。第三方平台或服务按照其自身政策处理的信息，不受本政策直接控制。 --- ## 1. 我们收集的信息 我们遵循目的明确、最小必要和公开透明原则。是否提供部分信息由您决定，但拒绝必要信息可能导致相应功能无法使用。 ### 1.1 账户与身份信息 | 信息类型 | 具体内容 | 获取方式 | 用途 | | --- | --- | --- | --- | | 注册登录信息 | 邮箱地址、经加密散列处理的密码、验证码状态、登录时间 | 您提供或系统生成 | 注册、登录、验证身份、找回密码和账户安全 | | 第三方登录信息 | Apple/Google 用户唯一标识、经验证的邮箱、昵称、头像地址、Apple 隐私转发邮箱标记；Apple 授权撤销所需令牌（如适用） | Apple 或 Google 在您授权后提供 | 创建或关联账户、登录、账户注销时撤销相关授权 | | 账户设置 | 界面语言、语言来源、AI 助手名称、默认 AI 服务商/模型、AI 是否可访问全部笔记 | 您选择或设备语言解析 | 同步偏好、提供个性化功能和控制 AI 访问范围 | | 可选个人资料 | 昵称、头像、性别、生日、国家/地区、个人简介 | 您主动填写 | 展示和管理个人资料 | | 会话信息 | 访问令牌、刷新令牌散列、设备标识（如客户端提供）、创建/到期/撤销时间 | 系统生成 | 保持登录、跨设备会话管理和防止未经授权访问 | 我们不以明文保存您的 MemoFlow 密码、验证码或刷新令牌。第三方登录时，Apple 或 Google 可能只在首次授权时提供部分信息。 ### 1.2 笔记、文件与创作内容 为提供笔记、搜索、同步、导出和 AI 功能，我们处理您创建、上传或选择的内容，包括： - 笔记标题、正文、块结构、摘要、待办、表格、代码块及版本记录； - 文件夹、排序、置顶、移动、删除和同步状态； - 搜索词和搜索历史； - 您上传的图片、视频、音频、文档、压缩包、头像、文件名、类型、大小和附件关联信息； - 为搜索生成的分词、拼音索引、文本片段和向量表示； - 您导出、分享或保存为新笔记的内容。 MemoFlow 会在设备本地保存笔记数据库、待上传文件、录音和必要缓存，以支持离线使用、同步、恢复上传和性能优化。您可使用“清理缓存”删除可重新生成的临时文件，但该操作不会删除笔记、待上传原件或其他用户数据。 ### 1.3 AI 对话、智能体和记忆信息 当您使用 AI 对话、文档智能、标题生成、笔记改写、智能体或类似功能时，我们可能处理： - 您输入的问题、指令、选择文本和附件； - 当前对话历史、AI 回复、引用、反馈和错误信息； - 您主动关联的笔记，或在“允许 AI 访问全部笔记”开启时为回答请求所检索的相关笔记片段； - 为执行任务产生的计划、工具调用、草稿、提案、修订、执行记录和确认记录； - 您要求保存或系统按功能规则形成的 AI 记忆、记忆来源和使用记录； - 模型名称、服务商、Token 用量、Credits 消耗和请求时间。 除非功能明确要求或您授权，AI 不应访问与当前任务无关的内容。您可以在设置中关闭“允许 AI 访问全部笔记”；关闭后，AI 应仅使用您在对话中提供或明确选择的内容。 ### 1.4 会议录音、同声传译与语音数据 当您主动使用相关功能并授予麦克风权限时，我们可能处理： - 麦克风音频流、音频时间片及录音时长； - 会议或同传会话标题、源语言、目标语言和状态； - 实时及最终转写、翻译文本、时间戳、说话人标签、置信度和修订记录； - 术语表、模型/处理模式、质量状态、处理事件和错误信息； - 与用量结算有关的会话标识和时长。 处理方式取决于您选择的模式： - **端侧模式**：音频在设备端进行识别时，客户端仅向服务端发送必要的时间信息和最终文本，不发送该模式下的音频内容； - **云端模式**：音频流通过加密连接发送至 MemoFlow 服务端及受控 AI 工作进程，用于实时语音识别、标点、翻译、说话人识别和离线精修。服务端以临时文件缓冲完整音频，并在该次连接的后处理结束后删除临时原始音频；转写、翻译及会话元数据会保存在账户中，直至您删除相关会话或账户，或达到适用保留期限； - 设备本地保存的录音文件属于用户数据，不会因“清理缓存”自动删除。您应通过相关功能或设备系统管理这些文件。 您应在录制、转写或分析他人声音前，按照所在地法律取得参与者的必要告知与同意。 ### 1.5 OCR、相机和照片 当您主动使用 OCR 或头像/附件功能时，我们可能访问您选择的相机或照片： - OCR 图片目前在设备端通过本地模型识别。应用会建立临时图片副本，并在识别完成、取消或失败后尝试删除；服务端只接收用于 Credits 计量的请求标识、图片数量和结算状态，不接收 OCR 图片本身； - 当您主动将 OCR 结果保存为笔记时，识别出的文本会作为笔记内容同步至服务端； - 当您选择图片作为头像或笔记附件时，文件会上传至我们的对象存储，并按附件规则处理，而不再属于仅端侧 OCR 临时数据。 ### 1.6 订阅、交易与 Credits 信息 我们处理以下信息以验证购买、开通权益、管理 Credits 和处理退款： - 平台、商品 ID、交易 ID、原始交易 ID或购买令牌、交易状态； - 购买、验证、续订和到期时间； - 商店地区、币种和平台返回的价格信息； - 当前套餐、计费周期、自动续订状态、宽限期和下次 Credits 发放时间； - Credits 余额、预留额度、退款抵扣、收支账本、用量类型和关联业务标识； - Apple/Google 服务端通知和必要的原始验证载荷。 银行卡号、完整支付账户和支付密码由 Apple App Store 或 Google Play 处理，我们不直接收集或保存这些信息。 ### 1.7 联网搜索和外部来源 当 AI 功能判断需要检索公开、最新信息时，系统可能向外部搜索服务发送查询。当前系统会在发送前执行最小化与隐私检查： - 查询应从您本次输入中概括，不应把仅存在于私人笔记中的内容加入查询； - 检测到邮箱、电话号码、身份证号、长数字、令牌、API Key 或 URL 等内容时，会阻止该次外部搜索； - 搜索查询、结果 URL、标题、摘录、来源站点、缓存时间和使用次数可能被记录；当前搜索缓存配置为 24 小时。 公开网页由第三方运营。您访问外部链接后，相关网站会按照其自身政策处理信息。 ### 1.8 设备、网络、日志与安全信息 为运行、维护和保护服务，我们可能自动处理： - App 版本、操作系统、语言、平台类型和功能配置； - IP 地址、请求时间、接口路径、响应状态、延迟、错误码及必要的服务器日志； - 网络连接状态、商店可用性和功能兼容性； - 用量、配额、异常重试、幂等标识和防欺诈信号。 当前应用代码中未发现第三方广告 SDK，也不以跨应用追踪或个性化广告为目的处理您的个人信息。如未来引入分析、广告或追踪工具，我们将先更新本政策，并在法律和平台规则要求时取得您的授权。 --- ## 2. 设备权限 MemoFlow 仅在您使用对应功能时请求权限。您可通过系统设置撤回授权，但相应功能可能无法继续使用。 | 权限 | 使用场景 | 是否必要 | | --- | --- | --- | | 麦克风 | AI 会议录音、实时转写和同声传译 | 仅对语音功能必要 | | 相机 | OCR 拍照、选择或拍摄头像/附件 | 仅对对应功能必要 | | 照片/媒体选择 | 选择头像、OCR 图片或笔记附件 | 仅在您主动选择时使用 | | 语音识别（适用平台） | 支持端侧语音识别 | 仅对相应端侧模式必要 | | 本地存储 | 离线笔记、录音、待上传附件、模型和缓存 | 提供离线及文件功能所需 | | 本地网络（开发构建） | 连接开发环境服务 | 正式生产版本不应以此作为核心功能权限 | 应用不会在未获得相应权限时访问受系统权限保护的数据。iOS 当前权限说明存在相机用途文字重复且不一致的问题，正式发布前应统一为同时覆盖 OCR、头像和笔记附件的准确说明。 --- ## 3. 我们如何使用信息 我们仅为以下目的处理必要信息： 1. 创建、验证和保护账户，提供登录、找回密码及跨设备设置同步； 2. 保存、同步、搜索、整理、导出、分享和恢复您的笔记与附件； 3. 提供 AI 对话、检索、改写、标题、记忆、智能体和模型选择功能； 4. 提供会议录音、转写、翻译、说话人识别、OCR 及相关结果保存； 5. 验证应用内购买、管理会员权益、Credits、用量、续订、退款和账单支持； 6. 响应您的咨询、投诉、权利请求和技术问题； 7. 诊断故障、维护服务安全、阻止欺诈和滥用、执行协议； 8. 遵守法律义务、监管要求、有效司法或行政要求； 9. 在匿名化或无法合理识别个人的基础上，分析服务性能和改进产品。 我们不会将您的笔记、录音、AI 对话或个人资料出售给第三方，也不会用其开展跨应用行为广告。未经另行明确告知和合法授权，我们不会将您的私人内容用于训练面向公众的通用 AI 模型。 --- ## 4. 敏感个人信息 在适用法律下，声音、录音、精确身份凭证、交易信息、未成年人信息，以及可能从笔记或 AI 对话中反映的健康、财务、行踪或其他内容，可能构成敏感个人信息。 我们仅在提供您主动请求的功能、保障交易与账户安全或履行法律义务所必要的范围内处理。我们会在法律要求时向您进行增强提示并取得单独同意。请谨慎在笔记、录音、附件或 AI 对话中输入他人的敏感个人信息；您应确保具有合法处理基础。 --- ## 5. 委托处理、共享与第三方服务 我们不会因出售个人信息而共享数据。为提供您使用的功能，我们可能向以下服务商提供最小必要信息，或允许其代表我们处理信息： | 接收方/类型 | 可能处理的信息 | 目的 | | --- | --- | --- | | Apple | Apple 登录标识及授权信息；App Store 商品、交易、订阅、退款信息 | Apple 登录、应用内购买和订阅管理 | | Google | Google 登录标识、邮箱、昵称、头像；Google Play 商品、交易、订阅、退款信息 | Google 登录、应用内购买和订阅管理 | | Resend | 邮箱地址、语言、邮件类型、验证码邮件内容；您主动提交的支持请求 | 发送注册及密码重置邮件，并转交官网支持请求 | | Cloudflare R2 或配置的 S3 兼容对象存储 | 用户主动上传的头像和笔记附件、文件元数据 | 私有对象存储和短时签名下载 | | OpenRouter | AI 提示、必要对话历史、经授权的笔记上下文、模型和 Token 信息；最小化的联网搜索查询 | 路由 AI 模型、生成回答、联网搜索 | | DeepSeek | AI 提示、必要对话历史、经授权的笔记上下文、模型和 Token 信息 | 在您使用对应模型时生成回答 | | OpenRouter 的底层模型及搜索服务（可能包括 Exa） | 为对应请求所必需的内容、模型参数或最小化查询 | 执行模型推理或公开网页检索 | | 云主机、数据库、网络和安全服务商 | 加密传输的数据、数据库记录、IP、日志和安全事件 | 托管、备份、传输、防护和故障排查 | 系统向 OpenRouter 请求时会设置拒绝数据收集的技术参数，但第三方对其系统的处理仍受其适用政策、合同和法律约束。模型服务商可能随用户选择、可用性或版本变化；我们会在重大变化影响您的权利时更新披露。 在以下情况下，我们也可能依法共享信息： - 根据法律法规、诉讼、监管或有权机关的有效要求； - 为保护用户、公众、我们或他人的生命健康、财产、账户和网络安全； - 在合并、收购、资产转让、重组或破产中，向依法承担同等保护义务的接收方转移，但会依法通知您； - 经您单独同意或由您主动指示的其他共享。 --- ## 6. 跨境处理 MemoFlow 使用的 Apple、Google、Resend、Cloudflare、OpenRouter、DeepSeek、底层模型和搜索服务可能在您所在国家/地区之外处理数据。数据的实际位置取决于服务配置、模型路由、商店地区和供应商基础设施。 如适用法律要求，我们将在跨境提供个人信息前告知境外接收方、处理目的、信息种类、保存安排和权利行使方式，并取得单独同意或完成安全评估、标准合同、认证及其他法定程序。在完成所需合规机制前，我们不应向境外服务发送依法不得跨境提供的信息。 --- ## 7. 信息存储与保留 我们仅在实现处理目的所需的最短期间内保留信息，但法律、财税、交易审计、安全和争议处理可能要求更长时间。 | 数据 | 当前或建议保留规则 | | --- | --- | | 验证码 | 验证码有效期为 10 分钟；验证码以散列保存。相关安全记录的最终清理时限须在上线前确定 | | 登录会话 | 刷新令牌默认最长 30 天；退出登录、注销或安全事件时可提前撤销 | | 笔记与文件夹 | 在账户存续期间保存；笔记移入废纸篓后标记为 30 天后清除，永久删除操作可提前清除 | | OCR 临时图片 | 识别完成、取消或失败后在设备上尝试立即删除；保存为附件或笔记的内容适用对应规则 | | 云端原始语音缓冲 | 用于当次转写、说话人识别和精修，后处理完成后删除临时文件；文本、会话和处理记录持续保存至用户删除或账户清理 | | 本地录音、待上传文件和离线笔记 | 保存在设备，直至您删除、完成相关操作、清除应用数据或卸载应用；卸载前请自行备份需要保留的内容 | | AI 对话、记忆、任务和反馈 | 在账户存续及功能需要期间保存，直至您删除相应内容或账户；上线前须确定备份与审计副本的最长保留期 | | 联网搜索缓存 | 当前配置为 24 小时；用量和安全记录可按运营、安全及账务需要保留更长时间 | | 附件 | 在账户/笔记需要期间存储；用户删除后删除对象或进入重试清理状态 | | 购买、订阅、Credits 与退款账本 | 按财税、平台对账、防欺诈、投诉和适用法律要求保留；即使注销账户，依法必须保留的记录可被隔离保存 | | 服务器日志与备份 | 保留期限须在生产运维策略确定后写入正式版本；到期后删除或匿名化 | 如果法律规定的期限尚未届满，或立即删除在技术上难以实现，我们将停止除存储和必要安全保护之外的处理，并在条件具备时删除或匿名化。 --- ## 8. 账户注销与数据删除 您可在 MemoFlow“设置”中发起注销，或通过 service@memoflow8.com 提交请求。为防止冒名操作，我们可能要求验证账户所有权。 注销后： 1. 账户将立即停用，活动登录令牌被撤销，第三方登录绑定被释放；Apple 登录令牌在配置允许时同步撤销； 2. 原邮箱会被替换为不可用于联系您的内部删除标识； 3. 您将无法继续访问账户内容，未使用 Credits 和会员权益通常无法转移；取消订阅仍需按《订阅条款》通过原购买平台完成； 4. 与账户关联的笔记、附件、录音、AI 对话、搜索历史等应进入不可恢复的删除流程；正式上线前我们必须实现明确时限内的物理删除或匿名化，而不是仅停用账户； 5. 法律、财税、支付对账、安全、防欺诈或争议处理要求保留的数据将被隔离，且仅用于该等目的，保留期届满后删除或匿名化； 6. 设备本地仍可能保留离线文件。注销后请通过应用或系统设置清除本地数据并取消平台订阅。 Google Play 上架前还须提供一个无需进入应用即可提交账户及关联数据删除请求的公开网页入口。 --- ## 9. 您的权利 根据适用法律，您可能享有以下全部或部分权利： - 知情并要求解释个人信息处理规则； - 查询、访问或取得您的个人信息副本； - 更正或补充不准确、不完整的信息； - 删除个人信息或注销账户； - 撤回基于同意的处理授权；撤回不影响此前处理的合法性； - 限制或反对特定处理； - 在符合法律条件时请求个人信息转移； - 拒绝或要求解释仅通过自动化决策对您权益产生重大影响的决定； - 向有权的数据保护或消费者保护机构投诉。 您可通过应用内设置完成部分操作，或发送邮件至 service@memoflow8.com。我们会核验身份并在适用法律规定的期限内答复。法律允许时，我们可能拒绝明显无依据、过度重复、损害他人权利或与法定义务冲突的请求，并说明理由。 撤回相机、照片、麦克风或语音识别权限可在设备系统设置中完成。删除应用不会自动删除服务端账户，注销账户也不会自动取消 App Store 或 Google Play 订阅。 --- ## 10. 安全保护 我们采取与风险相适应的措施，包括： - 生产环境通过 HTTPS/WSS 等加密方式传输数据； - 密码、验证码和刷新令牌以散列形式保存； - 使用身份认证、用户级访问控制、服务端交易验证和幂等账本； - 私有附件通过短时签名 URL 上传和访问； - 对内部服务密钥、平台凭证和第三方 API Key 实施访问限制； - 对 AI 联网搜索执行查询最小化和敏感模式拦截； - 记录必要的安全事件、错误和异常交易； - 根据业务连续性需要实施备份、恢复和漏洞修复。 没有任何系统可以保证绝对安全。若发生可能对您的权益造成严重影响的个人信息安全事件，我们将依法采取补救措施，并通过应用、邮件或其他适当方式告知事件情况、可能影响、已采取措施和您可采取的行动，同时向有关主管机关报告。 当前 iOS 配置允许开发环境使用非加密 HTTP 和本地网络。生产构建必须关闭任意网络加载、使用受信任 HTTPS 域名并完成传输安全验收。 --- ## 11. 未成年人 MemoFlow 不是专门面向未满 14 周岁儿童设计的产品。未满 14 周岁的儿童不得在没有父母或其他监护人明确同意和指导的情况下创建账户或使用服务。其他未达到所在地法定成年年龄的用户，也应在监护人阅读并同意本政策及相关协议后使用。 如果我们发现未经有效监护人同意收集了儿童个人信息，将依法停止相关处理并删除或采取其他必要措施。监护人可通过 service@memoflow8.com 联系我们。 --- ## 12. 第三方链接和用户主动分享 MemoFlow 可能显示 AI 联网搜索来源、外部网页链接，或调用系统分享面板。您点击链接或主动将内容分享到第三方应用后，第三方会按照其自身隐私政策处理信息。请在分享前检查内容和接收方；我们无法控制第三方独立进行的处理。 --- ## 13. 政策更新 我们可能因功能、处理活动、法律或第三方服务变化更新本政策。重大变更将通过应用内提示、邮件或其他显著方式提前通知，并在需要时重新取得您的同意。更新后的政策会标明新的版本和生效日期。 未经法律允许，我们不会通过更新政策实质性降低对已经收集的个人信息的保护，也不会将其用于与原目的无关且不相容的新目的而不履行相应告知与授权程序。 --- ## 14. 联系我们 个人信息处理者：南京君合电子商务有限公司 英文名称：Nanjing Junhe E - Commerce Co., Ltd. 注册地址：江苏省南京市高淳区石臼湖北路 78 号 常用办公地址：江苏省南京市高淳区石臼湖北路 78 号 隐私联系邮箱：service@memoflow8.com 账户删除网页：https://memoflow8.com/account-deletion 隐私政策 URL：https://memoflow8.com/legal/privacy 如您对本政策、个人信息处理或权利请求有疑问，请通过上述邮箱联系我们。我们将在核验身份后依法处理。 --- ## 15. 合规参考 - [《中华人民共和国个人信息保护法》](https://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html) - [Apple App Review Guidelines](https://developer.apple.com/app-store/review/guidelines/) - [Google Play User Data Policy](https://support.google.com/googleplay/android-developer/answer/10144311) - [Google Play Account Deletion Requirements](https://support.google.com/googleplay/android-developer/answer/13327111)